Controle de acesso

É comum que vários membros da equipe colaborem na criação de um agente e que os serviços acessem o agente. Com os papéis, é possível controlar o acesso e as permissões concedidas aos principais.

É possível configurar o acesso usando o console dos agentes de conversação ou o console do Google Cloud (acesse a documentação, abra o console) com o Identity and Access Management (IAM). O console do Google Cloud é usado para conceder papéis do IAM aos principais, enquanto o console dos agentes de conversação é usado para conceder papéis de agente do Dialogflow CX aos principais. Os papéis de agente de CX do Dialogflow CX são papéis predefinidos convenientes definidos pelo Dialogflow CX que restringem o acesso a um agente ou aos recursos filhos de um agente específico.

Há algumas situações em que você precisa usar o console do Google Cloud :

• O papel de proprietário do projeto do IAM é concedido por padrão ao usuário que criou o projeto proprietário do agente. Esse proprietário tem acesso total a todos os agentes no projeto. Se você quiser mudar o proprietário do projeto, use o console do Google Cloud .
• Somente o acesso no nível do agente pode ser configurado pelo console do Dialogflow CX. Se você quiser configurar o acesso para envolvidos no projeto, use o console do Google Cloud .
• Um subconjunto de papéis do IAM tem papéis de agente de CX do Dialogflow CX correspondentes. Se você quiser conceder um papel para envolvidos no projeto ou no nível do agente que não existe no console do Dialogflow CX, use o console do Google Cloud .
• Se você estiver criando um agente de repositório de dados com a interface do usuário dos agentes da Vertex AI, use o console do Google Cloud .

Se você estiver usando a API, também será possível ter um ou mais aplicativos que enviam solicitações a um agente. Nesse caso, controle o acesso com as contas de serviço.

Controlar o acesso com o console dos Agentes de Conversação

O console do Conversational Agents permite aplicar papéis de agente convenientes configurados para compartilhamento no nível do agente. Esses papéis se relacionam aos papéis do IAM com condições do IAM que limitam o acesso ao agente específico ou a um subconjunto de recursos filhos do agente.

Para acessar a configuração de papéis de agente no console dos agentes de conversação, é necessário receber o papel de administrador do IAM do projeto para o projeto associado. Esse papel é concedido no console do Google Cloud .

Observação: o console dos Agentes de Conversação só vai mostrar principais com esses papéis específicos e condições específicas do agente. Se você usou o console do Google Cloud para adicionar principais com papéis ou condições, eles não vão aparecer no console dos Agentes de Conversação.

Papel de agente de CX do Dialogflow CX	Resumo	Papel do IAM
Leitor de conversas	Concede acesso de leitura para consultar (não detectar o intent) o agente do console ou da API.	Dialogflow > Leitor da API Dialogflow
Administrador de conversação	Concede acesso total para criar, atualizar, consultar, detectar intents e excluir o agente do console ou da API.	Dialogflow > Administrador da API Dialogflow
Cliente de conversação	Concede acesso para detectar intents no console ou na API.	Dialogflow > Cliente da API Dialogflow
Agente de serviço	Consulte Agentes de serviço.	Consulte Agentes de serviço.
Editor de fluxo	Concede acesso para atualizar, consultar um fluxo específico e criar, atualizar, excluir ou consultar os recursos de fluxo (páginas, grupos de rotas e versões) no console ou na API.	Dialogflow > Editor de fluxo do Dialogflow
Editor de ambiente	Concede acesso para atualizar, consultar um ambiente específico e criar, atualizar, excluir ou consultar os recursos do ambiente (experimentos) no console ou na API.	Dialogflow > Editor do ambiente do Dialogflow
Administrador do tipo de entidade	Concede acesso para criar, atualizar, excluir ou consultar os tipos de entidade de um agente no console ou na API.	Dialogflow > Administrador do tipo de entidade do Dialogflow
Administrador de intents	Concede acesso para criar, atualizar, excluir ou consultar as intents de um agente no console ou na API.	Dialogflow > Administrador de intents do Dialogflow
Administrador do caso de teste	Concede acesso para criar, atualizar, excluir ou consultar os casos de teste de um agente no console ou na API.	Dialogflow > Administrador de casos de teste do Dialogflow
Administrador do webhook	Concede acesso para criar, atualizar, excluir ou consultar os webhooks de um agente no console ou na API.	Dialogflow > Administrador de webhook do Dialogflow

Opções de compartilhamento são encontradas nas configurações do agente. Para abrir as configurações de compartilhamento do agente:

1. Abra o console do Dialogflow CX.
2. Escolha seu projeto do Google Cloud.
3. Selecione seu agente.
4. Clique em Configurações do agente.
5. Clique na guia Compartilhar.

Adicionar um principal

1. Clique em Add.
2. Digite o endereço de e-mail do usuário, grupo ou conta de serviço.
3. Selecione Usuário, Grupo ou Conta de serviço como o tipo de e-mail.
4. O papel Leitor do Dialogflow é adicionado por padrão, o que é necessário para que os usuários acessem o console dos agentes de conversação.
5. Clique em Adicionar função em Atribuir funções.
6. Selecione um tipo de papel em Tipo.
7. Para os papéis Editor de fluxo e Editor de ambiente, selecione fluxos ou ambientes específicos ou mantenha a opção padrão Todos.
8. Como alternativa, defina a data de validade do papel.
9. Clique em Save.

Alterar funções principais

1. Clique no principal na lista.
2. Atualize os papéis para esse principal no pop-up.
3. Clique em Save.

Remover uma conta principal

1. Encontre o principal na lista.
2. Clique no botão de exclusão no principal.
3. Clique em OK.

Observação: depois de aplicar as alterações no papel do membro, pode levar algum tempo até que as alterações entrem em vigor.

Controlar o acesso com o console do Google Cloud

É possível controlar o acesso com as configurações do IAM. Consulte o guia de início rápido do IAM para ver as instruções detalhadas sobre como adicionar, editar e remover permissões.

Adicionar um usuário ou uma conta de serviço ao projeto

É possível conceder permissões a usuários ou contas de serviço atribuindo papéis a eles no projeto do Google Cloud . Os usuários são adicionados fornecendo os respectivos endereços de e-mail. As contas de serviço também são adicionadas fornecendo o endereço de e-mail associado a elas. É necessário adicionar contas de serviço quando você quiser usar uma conta de serviço para vários projetos. Para encontrar o endereço de e-mail associado à sua conta de serviço, consulte a página Contas de serviço do IAM no console do Google Cloud .

Para adicionar um principal, faça o seguinte:

1. Clique no botão de adição na parte superior da página.
2. Digite o endereço de e-mail do principal.
3. Selecione um papel.
4. Clique em Salvar.

Alterar permissões

1. Clique no botão de edição no principal.
2. Selecione um papel diferente.
3. Clique em Save.

Remover uma conta principal

1. Clique no botão de exclusão no principal.

Adicionar uma condição para restringir o acesso a um agente

Ao adicionar ou editar um principal, é possível criar uma condição do IAM que restrinja o acesso a um agente.

Observação: conceda papéis de agente aos e-mails dos usuários para acesso ao console do Dialogflow CX diretamente no console de agentes de conversação.

Exemplo:

{
    "expression": "resource.name.startsWith(\"projects/PROJECT_ID/locations/REGION_ID/agents/AGENT_ID\")",
    "title": "For Dialogflow CX Agent AGENT_ID"
}

Essa condição fornece acesso básico a um agente específico. Por exemplo, uma conta de serviço com essa condição só pode chamar a API Dialogflow CX para acessar o agente especificado na condição do projeto, mas não outros agentes no projeto.

Para adicionar essa condição a um papel concedido a um principal, faça o seguinte:

1. Selecione um principal.
2. Clique no botão de edição no principal.
3. Clique em Adicionar condição.
4. No campo Título, digite For Dialogflow CX Agent AGENT_ID e substitua AGENT_ID pelo ID do agente.
5. Você pode inserir qualquer descrição.
6. Selecione o Editor de condições para criar sua condição.
7. Adicione a expressão resource.name.startsWith("projects/PROJECT_ID/locations/REGION_ID/agents/AGENT_ID"), substituindo AGENT_ID pelo ID do agente e PROJECT_ID pelo ID do projeto.
8. Clique em Save.

Papéis do IAM

A tabela a seguir lista os papéis comuns do IAM relevantes para o Dialogflow CX. Os resumos de permissões na tabela usam os seguintes termos:

• Acesso total: permissão para modificar o acesso, criar, excluir, editar e ler qualquer recurso.
• Acesso de edição: permissão para criar, excluir, editar e ler qualquer recurso.
• Acesso à sessão: permissão para chamar métodos para recursos somente de ambiente de execução durante uma conversa, como detectar intenção, atualizar contexto, atualizar entidades de sessão ou interações de conversa do Agent Assist.
• Acesso de leitura: permissão para ler qualquer recurso.

Observação: para modificar o acesso de um agente, você precisa de um papel que forneça acesso total ao agente. Para excluir um agente, você precisa de um papel que forneça acesso total ou acesso de edição ao agente.

Observação: o simulador do console chama o método da API detectIntent durante uma conversa. Esse método grava no estado da sessão. Para usar o console ou chamar os métodos detectIntent/streamingDetectIntent da API, é necessário ter um papel que forneça acesso total, acesso de edição ou acesso de sessão.

Papel do IAM	Resumo da permissão	Detalhes da permissão
Projeto > Proprietário	Conceda aos proprietários do projeto que precisam de acesso total a todos os recursos do Google Cloud e do Dialogflow CX: Acesso total a todos os recursos do projeto do Google Cloud usando o console ou as APIs do Google Cloud . Acesso total aos agentes usando o console dos agentes de conversação. Pode detectar intent usando a API.	Consulte Definições dos papéis básicos do IAM.
Projeto > Editor	Conceda a editores de projetos que precisam de acesso de edição a todos os recursos do Google Cloud e do Dialogflow CX: Acesso de edição a todos os recursos do projeto do Google Cloud usando o console do Google Cloud ou APIs. Editar o acesso aos agentes usando o console dos agentes de conversação. Pode detectar intent usando a API.	Consulte Definições dos papéis básicos do IAM.
Projeto > Leitor	Conceda aos leitores do projeto que precisam de acesso de leitura a todos os recursos do Google Cloud e do Dialogflow CX: Acesso de leitura a todos os recursos do projeto do Google Cloud usando o console ou as APIs do Google Cloud . Acesso de leitura aos agentes usando o console ou a API do Conversational Agents, não é possível usar o simulador. Não é possível detectar intent usando a API.	Consulte Definições dos papéis básicos do IAM.
Projeto > Administrador do IAM	Conceda aos administradores do IAM do projeto que precisam de acesso de edição à configuração de papéis do agente do Dialogflow CX.	Consulte Definições de papéis do gerenciador de recursos do IAM.
Projeto > Navegador	Concede a navegadores do projeto que precisam de acesso de leitura para navegar na hierarquia de um projeto, incluindo a pasta, a organização e a política do Cloud IAM: Acesso de leitura à hierarquia do projeto do Google Cloud . Não há acesso aos agentes usando o console dos agentes de conversação. Não é possível detectar intent usando a API.	Consulte Definições de papéis do projeto do IAM.
Dialogflow > Administrador da API Dialogflow	Conceda a administradores da API Dialogflow CX que precisem de acesso total a recursos especificamente do Dialogflow CX: Acesso total a todos os recursos do Dialogflow CX usando o console do Google Cloud ou APIs. Acesso total aos agentes usando o console dos agentes de conversação. Pode detectar intent usando a API.	Consulte Definições de papéis do IAM do Dialogflow.
Dialogflow > Cliente da API Dialogflow	Conceda a clientes da API Dialogflow CX que realizem chamadas de detecção de intent usando a API: Acesso de sessão aos recursos do Dialogflow CX no ambiente de execução usando o simulador ou a API do Dialogflow CX. Acesso limitado a agentes usando o console dos agentes de conversação. Pode detectar intent usando a API.	Consulte Definições de papéis do IAM do Dialogflow.
Dialogflow > Editor de agentes do console de agentes de conversação	Conceda aos editores do console de agentes de conversação que editam agentes: Acesso total a todos os recursos do Dialogflow CX usando o console do Google Cloud . Editar o acesso de edição à maioria dos dados do agente usando o console do Conversational Agents. Pode detectar intent usando a API.	Consulte Definições de papéis do IAM do Dialogflow.
Dialogflow > Leitor da API Dialogflow	Conceda a clientes da API Dialogflow que realizem chamadas somente leitura especificamente do Dialogflow CX usando a API: Acesso de leitura a todos os recursos do Dialogflow CX usando o console ou as APIs do Google Cloud . Acesso de leitura aos agentes usando o console dos agentes de conversação, não é possível usar o simulador. Não é possível detectar intent usando a API.	Consulte Definições de papéis do IAM do Dialogflow.
Administrador do Discovery Engine	Conceda aos usuários que criam agentes de repositório de dados com a interface do usuário dos agentes da Vertex AI.	Consulte as definições de papéis do IAM do Discovery Engine.

OAuth

Se você estiver usando as bibliotecas de cliente do Google para acessar o Dialogflow CX, não será necessário usar o OAuth diretamente, porque essas bibliotecas processam a implementação para você. No entanto, se você estiver implementando seu próprio cliente, talvez seja necessário implementar seu próprio fluxo do OAuth. O acesso à API Dialogflow CX requer um dos seguintes escopos do OAuth:

• https://www.googleapis.com/auth/cloud-platform (acesso a todos os recursos do projeto)
• https://www.googleapis.com/auth/dialogflow (acesso aos recursos do Dialogflow CX)

Solicitações que envolvem acesso ao Cloud Storage

Algumas solicitações do Dialogflow CX acessam objetos no Cloud Storage para ler ou gravar dados. Quando você chama uma dessas solicitações, o Dialogflow CX acessa os dados do Cloud Storage em nome do autor da chamada. Isso significa que a autenticação da solicitação precisa ter permissões para acessar o Dialogflow CX e os objetos do Cloud Storage.

Ao usar uma biblioteca de cliente do Google e papéis do IAM, consulte o guia de controle de acesso do Cloud Storage para informações sobre os papéis do Cloud Storage.

Ao implementar seu próprio cliente e usar o OAuth, você precisa usar o seguinte escopo do OAuth:

• https://www.googleapis.com/auth/cloud-platform (acesso a todos os recursos do projeto)

Papéis personalizados para acesso à ferramenta de playbook

É possível fornecer controle de acesso granular para ferramentas de playbook usando permissões e papéis personalizados.

Para listar as permissões disponíveis, acesse a ferramenta de pesquisa de permissões e pesquise dialogflow.tools.

Com essas permissões, é possível criar papéis personalizados.